Full Text

Наиболее опасной формой реализации угрозы безопасности информации с точки зрения последствий их реализации является компьютерная атака. Актуальность данной проблемы подтверждается статистическим данными за истекший период 2016-2017 гг. [1]. Как правило, компьютерным атакам подвержены информационные системы (ИС) общего пользования, предполагающие значительное число субъектов, для которых функционируют данные системы, а также сложные и комплексные ИС, базирующиеся на аппаратно-программных платформах и устройствах различных производителей. Особенно разрушительной по последствиям реализации компьютерная атака может быть в случае её воздействия на объекты критической информационной инфраструктуры (КИИ). Это послужило ключевым фактором для принятия Федерального закона «О безопасности критической информационной инфраструктуры Российской Федерации» от 26.07.2017 № 187-ФЗ, а также формирования и утверждения необходимых требований по безопасности информации со стороны государственных служб-регуляторов в области защиты информации [2]. В наибольшей степени опасность негативного компьютерного воздействия может проявляться для систем государственного управления, энергетического и транспортного секторов, систем связи и коммуникации, банковской сферы и др. Кроме того, дальнейшее внедрение информационных технологий во все сферы жизнедеятельности, а также реализация программы «Цифровая экономика Российской Федерации» только усугубят проблему компьютерных атак в ближайшей перспективе. Традиционно под понятием «компьютерная атака» (КА) понимается целенаправленное воздействие на информационные системы и информационно-телекоммуникационные сети программно-техническими средствами, осуществляемое в целях нарушения безопасности информации в этих системах и сетях [3]. До недавнего времени обеспечение безопасности ИС осуществлялось посредством защиты от типовых, массовых информационных атак, таких как компьютерные вирусы, мошенничество, сетевые атаки, внутренние утечки и т.д. Типовые системы защиты информации стали иметь шаблонный вид и содержать в себе набор определенных, типовых средств (межсетевые экраны, антивирусные средства), которые позволяют парировать традиционные атаки. Значительную роль в повышении эффективности ИС сыграло внедрение современных комплексных решений, в том числе и применение DLP и SIEM-систем [4, 5, 6]. В то же время не все из комплексных и дорогостоящих решений в области информационной безопасности позволяли решить проблему компьютерных атак. Тенденцией последних лет стало появление узконаправленных компьютерных атак (целевых, таргетированных), цель которых - конкретные коммерческие или государственные организации и их вычислительные сети. По мнению ряда специалистов, в ближайшее время количество подобных атак будет активно возрастать, что обусловливает необходимость их исследования и детального описания с точки зрения защищенности информационной составляющей [7]. Как правило, информационная атака предполагает наличие следующих структурных компонентов (рис. 1), необходимых и достаточных для достижения цели атаки, а именно: - источник атаки (субъект атаки) - программа, ведущая атаку и осуществляющая непосредственное воздействие; - используемые уязвимости ИС; - вариант использования уязвимости ИС; - объект информационной атаки, в качестве которого могут выступать: телекоммуникационные системы (ТС), автоматизированные системы (АС), информационно-управляющие системы (ИУС), распределенные ИУС (РИУС), и т.д. Источник компьютерной атаки Объект компьютерной атаки Состояние объекта (образ атаки) Рис. 1. Обобщенная схема формирования образа компьютерной атаки Реализация воздействия компьютерной атаки, очевидно, приводит к изменению состояния объекта атаки, формируя ее образ как результат данного негативного воздействия. Анализ данного состояния может являться основой для формирования эффективного противодействия. Традиционно основой противодействия компьютерным атакам со стороны системы защиты информации является использование алгоритмов обнаружения и анализа атак. Как правило, методы обнаружения и анализа компьютерных атак декомпозируются на методы анализа сигнатур и методы обнаружения аномальных отклонений [8]. Методы анализа сигнатур предназначены для обнаружения известных атак и основаны на контроле программ и данных в критически важной информационной системе и эталонной сверке последовательности символов и событий в сети с базой данных сигнатур атак. Методы обнаружения аномальных отклонений основываются на выявлении отклонений от нормального поведения системы и позволяют выявить неизвестные ранее компьютерные атаки. Информация, необходимая для идентификации атак, представлена большим количеством данных аудита, и эффективный анализ этих данных требует внедрения автоматизированных алгоритмов. Применение систем обнаружения атак способствует повышению эффективности систем защиты информации в целом. Следовательно, эффективность применения тех или иных способов обнаружения компьютерных атак предполагает развитие алгоритмических моделей, обеспечивающих распознавание образа атаки на основании набора отличительных признаков. Разнообразие вариантов негативного информационного воздействия, которые могли бы служить объектами исследований, требует значительного упрощения для возможности их модельного представления, с учетом сохранения адекватности модели действительному образу атаки. Понятие адекватности моделей следует рассматривать в двух аспектах: адекватность прототипу (корректность описания соответствующей атаки) и адекватность главной цели - применение адекватных мер противодействия со стороны системы защиты [9, 10]. В литературе о системах обнаружения и анализа компьютерных атак приведенные методы не имеют достаточного математического описания. Как правило, они формализованы в виде способов и функций средств обнаружения компьютерных атак, используемых в инструментальных средствах, а также средств предупреждения и обнаружения компьютерных атак [11]. Модельное представление процессов обработки информации и связанных с ними процессов защиты информации является одним из этапов разработки и внедрения автоматизированных систем в защищенном исполнении различного назначения, в том числе для КИИ [12, 13]. Множество моделей компьютерных атак может быть описано прямым перечислением признаков в виде базы данных, что не всегда приемлемо из-за значительных потребностей памяти, либо заданием характеристического признака, позволяющего создавать модели непосредственно перед противодействием им. В любом случае целесообразно создать инструмент оперативного перечисления данных моделей, что особенно важно для объектов КИИ, имеющих свои специфические особенности. Произвольную модель целесообразно представить в виде композиции двух основных составляющих, что позволяет разделить процессы генерации на две части: 1) синтез модели объекта КИИ, подверженной негативному информационному воздействию под влиянием компьютерной атаки; 2) синтез модели образа компьютерной атаки для адекватной защиты информации. Следующим этапом должно стать рассмотрение свойств СЗИ, адекватности ее выбранной модели КИИ на основании имитационного моделирования полного множества возможных последствий атаки. Таким образом, задачей моделирования является разработка генераторов (алгоритмов построения) соответствующих моделей атаки на КИИ и системы ее защиты, а также соответствующих методов исследования их защищенности. При этом КИИ является сложной по структуре и функционированию системой, традиционно представляемый набором состояний, изменяющихся как в штатном режиме функционирования, так и под воздействием последствий компьютерной атаки. Подход к разработке системы защиты КИИ как к сложной системе предполагает в общем случае три уровня сложности: структурную сложность, сложность функционирования, сложность выбора варианта функционирования в многоальтернативных ситуациях компьютерной атаки [14]. Подобный взгляд требует моделирования с описанием всех уровней сложности в обобщенном виде, представленных на рис. 2. S1 S2 … … Рис. 2. Обобщенная функциональная схема формирования модели КИИ На структурном уровне сложности описания функционирования КИИ (рис. 2) необходимо задать множество его основных состояний, важных с точки зрения реализации критически важных функций , где r0min определяется необходимостью обеспечения нетревиальности модели КИИ, а r0max допустимой сложностью модели, обусловленной особенностями объектов КИИ. Решение проблемы обнаружения компьютерной атаки предполагается на основе функционального подхода [15, 16]. Функциональное представление КИИ предполагает ее рассмотрение как выполнение элементарных функций, представляющих собой алгоритмы преобразования агрегированного пространства состояний самого объекта КИИ. Сложность решения подобной задачи может быть обусловлена многогранностью и многофункциональностью описываемой информационной системы, для чего требуется детальный анализ алгоритмов ее безопасного функционирование через перечисление множества всех допустимых состояний. Процесс агрегирования, являющийся ключевым понятием функционального подхода, заключается в построении агрегированного пространства состояний информационной системы - Re, которое отличается от настоящего рядом упрощений (укрупнений), но при определенных допущениях может рассматриваться как реальное. В данном случае разработка функционального представления информационной системы осуществляется на основе анализа пространства параметров процессов в системе по установленным правилам и выявление тех параметров, которые характеризуют действие атаки. Элементарной функцией fi Î F будем называть математическое описание соответствующего ей элементарного действия или композицию элементарных действий минимальной длины в виде алгоритма преобразования, определенного на всем пространстве агрегированных состояний информационной системы. Описание алгоритма соответствующего преобразования требует построения области определения и области значений для каждой из элементарных функций. При этом областью определения элементарной функции системы будем называть полное подмножество ее состояний, каждое из которых для данного преобразования имеет образ, с ним не совпадающий. Областью значений элементарной функции будем называть полное подмножество состояний информационной системы, каждое из которых для данного преобразования есть прообраз. При этом если: (1) - область определения функции f в Re, а (2) - область значений функции f в Re, то преобразование в Re согласно f опишется отображением: . (3) В то же время предполагается, что в процессе конкретного элементарного действия изменению подвергаются лишь часть компонентов пространства, т.е. во внимание принимаются только те компоненты агрегированного пространства состояний, которые имеют смысл для данного преобразования. Следовательно, для каждой элементарной функции fi строится абстрактное пространство состояний Im мерности с компонентами , в котором она полностью определена. Следовательно, функция fi в общем случае не всюду определена на декартовом произведении: , (4) или всюду определена на множестве состояний: , (5) где - есть область определения функции f. (6) - это область значения функции f в абстрактном пространстве Im. При этом отображением , (7) определяется состояние информационной системы на каждом шаге функционирования. Значение компонентов абстрактного пространства в общем случае следующее: , (8) при этом . Подпространства области определения и области значения элементарной функции принимают смысл отображений: (9) (10) (11) На рис. 3 представлена теоретико-множественная модель, описывающая процесс преобразования состояния в функциональной системе. Рис. 3. Теоретико-множественная модель, иллюстрирующая процессы преобразования в функциональной системе ReS ReN GfN Gf Gi/ Gi// G1N Im/ Im// Im/// G2N G3N Im GSN X0 X1 X2 X3 Xj X6 X5 X4 N0 N1 N2 N3 N4 N5 N6 Ni Процесс построения абстрактного пространства для элементарного преобразования заключается в последовательности этапов: 1) переходе из Re в Im для выполнения элементарной функции f: , (12) который описывается отображением: ; (13) 2) преобразовании в Im согласно f как отображения: ; (14) 3) переходе из Im в Re после выполнения f: , (15) который описывается отображением: (16) Критерий уровня наблюдаемости объекта КИИ N определяет уровень абстракции анализируемых событий в защищаемой системе и определяет границы применимости метода для обнаружения компьютерных атак в сетях. Традиционно в подобных системах рассматриваются следующие уровни наблюдаемости: - наблюдение на уровне операционной системы отдельного узла сети; - наблюдение на уровне сетевого взаимодействия объектов на узлах сети; - наблюдение на уровне отдельных приложений узла сети; - комбинация наблюдателей разных уровней. В разработанной модели отображение GSN есть семантика наблюдаемости состояния, возникающая как образ состояния информационной системы посредством средств отображения информации, представляющий собой семантический код результата наблюдения. При этом каждый из элементов вектора наблюдаемости N несет информацию в зависимости от того, насколько наблюдаемость обеспечивает оценку состояния всей системы. Под наблюдаемостью информационной системы понимается степень соответствия семантического кода образа состояния информационной системы ее истинному состоянию. Отображение GfN отдельных элементарных функций в абстрактном пространстве формирует конкретные образы отдельных компонентов как значения их наблюдаемости, причем каждая из них имеет свое проявление G1,2,3N для различных уровней наблюдаемости разными средствами отображения. Множества элементарных функций, объединенные в правильные композиции, представляют собой цепочки, отражающие поведение информационной системы в введенном пространстве состояний. При этом поведение длины êl êпредставляет собой кортеж: , (17) а - множество элементарных функций, соответствующих требуемому поведению информационной системы на каждом шаге n. При этом l можно обозначить отображением: (18) . (19) Последний предикат утверждает о существовании единственно верного элементарного действия fi на каждом шаге функционирования информационной системы. Отклонение от набора элементарных действий, в свою очередь, свидетельствует о наличии признака компьютерной атаки. Требуемый уровень наблюдаемости образа атаки может быть также реализован на основе внедрения нейронных технологий [17, 18]. Наиболее важными достоинствами моделей, основанных на нейронных сетях, являются способность адаптироваться к динамическим условиям и быстрота функционирования. Это особенно важно при работе систем защиты информации в режиме реального времени и необходимости оценки степени соответствия анализируемых данных эталонной модели [19, 20]. Таким образом, анализ количественного роста компьютерных атак на информационные системы, а также необходимость защиты объектов КИИ различного назначения требуют поиска наиболее эффективных способов обнаружения атак и применения имеющегося арсенала средств защиты информации. Разработанная модель позволяет представить информационную систему на основе функционального подхода, предполагающего решение задачи нахождения полного множества безопасных состояний ИС. Нахождение полного множества подобных состояний, в свою очередь, позволит определить признаки компьютерной атаки. Последующее распознавание характера атаки может осуществляться на основе системного анализа пространства параметров процессов в системе по установленным правилам и выявления тех параметров, которые характеризуют действие подобной компьютерной атаки.

About the authors

A. S Shaburov

Perm National Research Polytechnic University

References

Statistics

Views

Abstract - 21

PDF (Russian) - 17

Refbacks

• There are currently no refbacks.